Il sistema whistleblowing adottato da KEY2PEOPLE S.r.l. costituisce un presidio organizzativo finalizzato a favorire l’emersione, la prevenzione e la gestione di violazioni, condotte illecite o irregolarità rilevanti ai sensi del d.lgs. 10 marzo 2023, n. 24, nonché di comportamenti contrari alla normativa applicabile, al Modello di Organizzazione, Gestione e Controllo eventualmente adottato, al Codice Etico e alle policy aziendali.
La presente procedura consente ai soggetti legittimati di effettuare segnalazioni, anche in forma anonima ove adeguatamente circostanziate, relative a fatti, condotte, omissioni o rischi di violazione appresi nel contesto lavorativo, affinché gli organi e i soggetti incaricati possano valutarle e gestirle in modo riservato, tracciabile ed efficace.
La Società promuove un utilizzo responsabile del canale whistleblowing, garantendo la tutela della riservatezza del segnalante, della persona coinvolta, dei soggetti menzionati nella segnalazione e del contenuto della segnalazione, nonché il divieto di atti ritorsivi o discriminatori connessi alla segnalazione.
Con la presente procedura si intendono fornire indicazioni operative in merito all’ambito di applicazione del sistema whistleblowing, ai soggetti che possono effettuare segnalazioni, all’oggetto delle segnalazioni, ai canali utilizzabili, alle modalità di gestione delle stesse e alle tutele riconosciute dalla normativa vigente.
A tal fine, la presente Procedura:
La procedura è resa disponibile mediante pubblicazione sulla intranet aziendale e/o attraverso gli altri strumenti interni idonei a garantirne effettiva conoscibilità da parte dei destinatari, fermo restando che le informazioni sul canale di segnalazione saranno rese accessibili anche ai soggetti esterni che intrattengono rapporti con la Società.
I “Destinatari” della presente procedura sono tutti i soggetti che operano nel contesto lavorativo di KEY2PEOPLE S.r.l., inclusi dipendenti, dirigenti, collaboratori, lavoratori autonomi, consulenti, fornitori, appaltatori, prestatori d’opera, nonché persone che operano sotto la supervisione e direzione di fornitori, appaltatori o subappaltatori. Le tutele si applicano anche quando il rapporto giuridico non è ancora iniziato, se le informazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali, durante il periodo di prova e successivamente allo scioglimento del rapporto, se le informazioni sono state acquisite nel corso dello stesso.
ATTORI COINVOLTI
Il Segnalante è il soggetto che effettua una segnalazione ai sensi della presente procedura.
Il Responsabile della gestione della segnalazione, di seguito anche “Gestore”, è il soggetto nominato da KEY2PEOPLE S.r.l. e incaricato dell’analisi e gestione delle segnalazioni riferite alla Società, dotato di autonomia, imparzialità, indipendenza ed adeguata competenza. Il Gestore è il soggetto deputato a verificare il contenuto delle segnalazioni indirizzate a KEY2PEOPLE S.r.l. e ad effettuarne la verifica, l’analisi e l’eventuale istruttoria, nel rispetto della normativa applicabile e degli obblighi di riservatezza.
Qualora il Gestore versi in una situazione di conflitto di interessi, anche solo potenziale, oppure sia direttamente o indirettamente coinvolto nei fatti oggetto di segnalazione, la segnalazione deve essere gestita da un soggetto alternativo previamente individuato dalla Società o, se ciò non sia possibile, secondo modalità idonee a garantire indipendenza, riservatezza e corretta istruttoria.
La segnalazione deve essere effettuata in buona fede, sulla base di elementi ragionevoli e circostanziati, e deve contenere informazioni idonee a consentire lo svolgimento delle necessarie verifiche istruttorie. Non è richiesto che il segnalante abbia certezza dell’effettiva commissione dell’illecito, essendo sufficiente che, sulla base delle circostanze conosciute, ritenga ragionevolmente che una violazione si sia verificata o possa verificarsi.
Possono formare oggetto di segnalazione anche condotte non ancora perfezionate, purché fondate su elementi concreti, precisi e coerenti. Restano escluse le mere voci, supposizioni non circostanziate o doglianze personali prive di collegamento con l’interesse pubblico o con l’integrità della Società.
Le tutele previste dalla presente procedura operano quando la segnalazione è effettuata nel rispetto delle condizioni previste dalla normativa vigente. Resta ferma la responsabilità, anche disciplinare, civile o penale, in caso di segnalazioni effettuate con dolo o colpa grave, ovvero con finalità calunniose, diffamatorie o meramente strumentali.
I Destinatari della presente policy possono segnalare:
Al fine di agevolare l’identificazione dei fatti che possono essere oggetto di Segnalazione, si riporta di seguito un elenco a titolo meramente esemplificativo e non esaustivo di condotte/comportamenti rilevanti:
Le Segnalazioni non devono assumere toni ingiuriosi o contenere offese personali o giudizi morali volti a offendere o ledere l’onore e/o il decoro personale e/o professionale della persona o delle persone a cui i fatti segnalati sono riferiti.
È vietato in particolare:
Si precisa, inoltre, che è vietato e sanzionabile l’invio di Segnalazioni effettuate con dolo o colpa grave ovvero ritenibili palesemente infondate.
Si specifica che, nei casi di invio di Segnalazioni vietate, la riservatezza dell’identità del Segnalante, nonché le altre misure di tutela del Segnalante previste dalla legge, potrebbero non essere garantite, poiché tali segnalazioni potrebbero dar luogo a responsabilità civile e/o penale a carico del Segnalante. Inoltre, la riservatezza del Segnalante non è garantita quando:
titolo, nei casi di dolo o colpa grave;
Il Segnalante deve fornire tutti gli elementi utili a consentire al Gestore di procedere alle dovute ed appropriate verifiche ed agli accertamenti a riscontro della fondatezza dei fatti oggetto di segnalazione. A tal fine la segnalazione dovrebbe avere i seguenti requisiti essenziali:
Inoltre, il Segnalante potrà indicare i seguenti ulteriori elementi:
Il Segnalante potrà allegare eventuale documentazione utile a meglio circostanziare la Segnalazione.
La Segnalazione non dovrà contenere dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona (di seguito “Categorie particolari di dati”), salvo i casi in cui ciò sia inevitabile e necessario ai fini della Segnalazione stessa.
Qualora nell’ambito della segnalazione siano trattati dati appartenenti a categorie particolari ai sensi dell’art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, tali dati saranno trattati esclusivamente nei limiti in cui siano necessari, pertinenti e proporzionati rispetto alle finalità di ricezione, analisi e gestione della segnalazione, sulla base dei presupposti di liceità previsti dalla normativa applicabile e con adozione di adeguate misure tecniche ed organizzative.
Le segnalazioni anonime, vale a dire prive di elementi che consentano di identificare il loro autore, purché recapitate tramite le modalità previste dal presente protocollo, verranno prese in considerazione ove si presentino adeguatamente circostanziate e rese con dovizia di particolari, siano tali cioè da far emergere fatti e situazioni relazionandoli a contesti determinati (esempio indicazioni di nominativi o qualifiche particolari, menzione di uffici specifici, procedimenti o eventi particolari, ecc.)1.
Resta fermo il requisito della veridicità dei fatti o situazioni segnalati, a tutela del denunciato.
Le segnalazioni devono essere effettuate tramite la piattaforma informatica whistleblowing di gruppo messa a disposizione da Carisma S.p.A., accessibile al seguente link https://carismaspa.integrityline.com/ e pubblicata sul sito aziendale, sulla intranet e/o sugli altri canali interni di comunicazione della Società.
La piattaforma di gruppo prevede una separazione tra le società del gruppo e consente al segnalante di selezionare espressamente la società alla quale intende indirizzare la segnalazione. Ai fini della presente procedura, il segnalante dovrà selezionare KEY2PEOPLE S.r.l. quale società destinataria della segnalazione.
La piattaforma, pur essendo messa a disposizione nell’ambito del gruppo societario di appartenenza, costituisce il canale interno ufficiale di KEY2PEOPLE S.r.l. per la ricezione delle segnalazioni riferite alla Società. Le segnalazioni indirizzate a KEY2PEOPLE S.r.l. sono immediatamente trasmesse al Gestore nominato da KEY2PEOPLE S.r.l., secondo il flusso operativo previsto dalla piattaforma e dalle procedure interne applicabili, affinché quest’ultimo possa che è l’unico soggetto deputato a prenderne visione e verificarne il contenuto, ferma restando l’eventuale successiva interlocuzione con le funzioni aziendali competenti nei soli limiti necessari allo svolgimento dell’istruttoria e nel rispetto degli obblighi di riservatezza.
La piattaforma garantisce la riservatezza dell’identità del segnalante, della persona coinvolta e delle persone comunque menzionate nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione, assicurando adeguati standard di sicurezza, tracciabilità, segregazione degli accessi e conservazione delle informazioni.
L’utilizzo della posta elettronica ordinaria o certificata non costituisce canale preferenziale e può essere previsto solo ove accompagnato da specifiche misure tecniche ed organizzative idonee a mitigare i rischi per la riservatezza. La segnalazione può essere effettuata in forma scritta attraverso la piattaforma, anche in modalità anonima ove la piattaforma lo consenta. Il segnalante può altresì richiedere un incontro diretto con il Gestore o utilizzare ulteriori modalità orali eventualmente rese disponibili dalla Società, fermo restando l’obbligo di documentare la segnalazione nel rispetto della riservatezza.
Qualora la segnalazione sia erroneamente trasmessa a un soggetto diverso dal Gestore, il soggetto ricevente è tenuto a trasmetterla senza ritardo e comunque entro sette giorni dal ricevimento al Gestore, adottando ogni misura idonea a garantire la riservatezza del contenuto e dell’identità del segnalante, dandone contestuale notizia a quest’ultimo, ove possibile.
La gestione delle segnalazioni riferite a KEY2PEOPLE S.r.l. compete al Gestore nominato dalla Società. La messa a disposizione della piattaforma informatica di gruppo non comporta l’attribuzione a Carisma S.p.A. o ad altri soggetti del gruppo di poteri di gestione, valutazione o istruttoria sulle segnalazioni riferite a KEY2PEOPLE S.r.l.
Il Gestore, ricevuta la segnalazione, rilascia al segnalante avviso di ricevimento entro sette giorni dalla data di ricezione.
Il Gestore svolge una valutazione preliminare di ammissibilità e, ove necessario, avvia le opportune verifiche istruttorie, potendo richiedere integrazioni al segnalante, acquisire documentazione ed interloquire con le funzioni aziendali competenti, nel rispetto dei principi di riservatezza, proporzionalità e minimizzazione dei dati.
Il Gestore fornisce riscontro al segnalante entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.
Qualora la segnalazione risulti manifestamente infondata, generica, non circostanziata o estranea all’ambito di applicazione della presente procedura, il Gestore può disporne l’archiviazione, dandone evidenza secondo modalità idonee a garantire la tracciabilità del processo decisionale.
L’azienda garantisce la tutela e la protezione contro ogni forma di discriminazione che potrebbe derivare direttamente e indirettamente dalla segnalazione di illecito.
Il divieto di rilevare l’identità del Segnalante è da riferirsi anche a tutti gli elementi della Segnalazione che, anche indirettamente, possono consentire l’identificazione del Segnalante: se per ragioni istruttorie, altri soggetti saranno messi a conoscenza della Segnalazione, il Gestore provvederà all’oscuramento di tutti i dati.
L’identità del Segnalante non può essere rivelata, senza il suo consenso, nemmeno nel corso di un procedimento disciplinare avviato nei confronti del Segnalato, a meno che il contenuto dell’informazione non sia indispensabile per la contestazione dell’illecito.
Nella sola ipotesi in cui la contestazione che ha dato origine al procedimento disciplinare si basi unicamente sulla segnalazione del Segnalante, colui che è sottoposto al procedimento disciplinare può accedere al nominativo del Segnalante, anche in assenza del suo consenso, ma solo se ciò sia assolutamente indispensabile per la propria difesa.
Eventuali comportamenti in violazione delle misure di tutela del Segnalante, nonché l’adozione di misure discriminatorie, ritorsive o sleali nei confronti dello stesso, potrà dare origine a procedimenti disciplinari nei confronti del responsabile.
Al fine di evitare conseguenze pregiudizievoli, anche solo di carattere reputazionale, all’interno del contesto lavorativo, la tutela riservata al Segnalante, di cui al paragrafo 4.6, va accordata anche al Segnalato, avendo particolare riguardo nella fase di inoltro della Segnalazione a terzi. La tutela del Segnalato si applica fatte salve le previsioni di legge che impongono l’obbligo di comunicare il nominativo del soggetto segnalato sospettato di essere responsabile della violazione.
Si precisa, inoltre, che i dati personali dei Segnalanti, dei Segnalati e di tutti i soggetti coinvolti nella Segnalazione sono trattati in conformità con la normativa vigente sulla protezione dei dati personali di cui al Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 (“GDPR”) e di cui al D.lgs. 196/2003, così come modificato dal D.lgs. 101/2018.
L’utilizzo della piattaforma informatica di gruppo comporta che i dati personali contenuti nelle segnalazioni riferite a KEY2PEOPLE S.r.l. siano trattati secondo un assetto di ruoli privacy coerente con la normativa applicabile, da formalizzare, ove necessario, mediante appositi accordi o atti di nomina tra KEY2PEOPLE S.r.l., Carisma S.p.A. ed eventuali fornitori tecnici della piattaforma. In ogni caso, l’accesso alle segnalazioni riferite a KEY2PEOPLE S.r.l. deve essere limitato al Gestore nominato dalla Società e agli eventuali soggetti autorizzati nei soli limiti in cui ciò sia necessario per la gestione dell’istruttoria.
In particolare, si evidenza in tale contesto che:
La presente procedura integra, ove applicabile, il Modello di Organizzazione, Gestione e Controllo adottato dalla Società ai sensi del d.lgs. 231/2001 e costituisce parte del sistema interno di prevenzione e controllo.
La violazione delle misure di tutela del segnalante, l’adozione di atti ritorsivi o discriminatori, l’ostacolo alla presentazione o alla gestione delle segnalazioni, nonché la violazione degli obblighi di riservatezza previsti dalla presente procedura, possono comportare l’applicazione delle misure disciplinari previste dal sistema aziendale, ferme restando le ulteriori responsabilità previste dalla legge.
Milano, 20/04/2026
La Direzione